Fallback Crypto
os-fallbackcrypto · Koruma
Ana makinenin kendisinin taşıdığı IPsec tünellerini - bir Sophos XGS'in yardımcı işlemcisinin almadıklarını - çekirdeğin hangi kripto sürücüsünün şifreleyeceğini seçer.
Menüde
- os-xgs-npu kuruluyken: XGS: Fallback Crypto
- os-xgs-npu olmadan: VPN: IPsec: Fallback Crypto
Üç seçenek: aesni only, OPNsense'in geldiği hâli; ossl beside aesni, çekirdeğin OpenSSL tabanlı sürücüsü ossl(4) hemen ve her açılışın başında, henüz hiçbir tünel yokken yüklenir, böylece yeni SA'lar ikisi arasında paylaşılır; ya da ossl only, aesni OPNsense'in kendi Tunables'ı üzerinden yükleyicide kapatılır, böylece bir sonraki açılıştan itibaren her oturum ossl'nindir.
ossl, OpenSSL'in kendi AES-GCM kodunu taşır: AVX-512 ve VAES ile geniş kodu, AVX, PCLMULQDQ ve MOVBE ile birleşik AES-NI/GHASH kodunu. XGS 3300'ün ana makinesi AMD Ryzen Embedded V1780B'de AVX-512 yoktur, bu yüzden ossl ikincisini alırdı. ossl'nin bu ana makinelerde aesni'den hızlı olup olmadığı henüz ölçülmedi.
Her XGS'te yardımcı işlemci, burada ne seçilirse seçilsin, aldığı SA'ları şifreler; bu seçim yalnızca ana makineye kalanları değiştirir. os-xgs-npu'nun IPsec'i yazılım sağlayıcılarıyla sınırladığı XGS 136'da ikisi uyumludur: ossl bir yazılım sağlayıcısıdır ve bu eklentinin erken açılış kancası os-xgs-npu'nunkinden önce çalışır.
Özellikler
-
Üç seçenek
aesni only, ossl beside aesni veya ossl only.
-
Her tünelden önce yüklenir
ossl hemen ve her açılışın başında, henüz hiçbir tünel yokken yüklenir.
-
Tunables ile aesni kapatma
hint.aesni.0.disabled=1, OPNsense'in kendi Tunables'ı üzerinden yazılır; bu yüzden System: Settings: Tunables içinde görünür.
-
İşlemci özellikleri
Ana makinenin işlemcisi, AES-GCM'in dayandığı özellikler ve ossl'nin orada hangi AES-GCM kodunu aldığı.
-
Sağlayıcılar ve SA'lar
Mevcut kripto sağlayıcıları, IPsec'in yazılım sağlayıcılarıyla sınırlı olup olmadığı ve çekirdekteki SA'lar ile algoritmaları.
-
Sonraki açılış
Bir sonraki açılışın neyi çalıştıracağı ve geri kalanı için hâlâ yeniden başlatma gerekip gerekmediği.
Kurulum ve güncelleme
os-xgs-npu'nun 0.1.0-alpha.7.1'den sonraki sürümünden itibaren XGS: Updates onu Plugins sekmesinde listeler - kurulu kopya orada elle güncellenir, eksik olduğu yerde de oradan kurulur - ve o sürümden oluşturulan hazır imajlar onu içerir; o zamana kadar aşağıdaki gibi kurulur ve güncellenir. Güncellemeyi hiçbir cron girdisi çalıştırmaz. Bir XGS cihazında ya da başka herhangi bir OPNsense'te root olarak kurulur: deponun bir checkout'undan sh install/install.sh ile - sayfayı os-xgs-npu varken XGS altına, yokken VPN: IPsec altına koyar ve yeniden çalıştırıldığında ayarları korur - ya da sürümün paketi os-fallbackcrypto-1.0.0.pkg'den, SHA256SUMS ile doğrulanıp pkg ile eklenerek. Bu yolla kurulan kopya kendi self-update.py betiğiyle güncellenir. Bir sağlayıcı seçilip uygulanana kadar hiçbir şey değişmez. Kaldırmadan önce aesni only'ye geri alıp uygulayın ya da sonradan hint.aesni.0.disabled'ı System: Settings: Tunables'tan silin. OPNsense eklenti deposunda yer almaz.
Sınırlar ve henüz test edilmeyenler
- Sayfadan bir seçimin uygulanması (ossl'yi yükleyip tunable'ı yazan apply.php).
- ossl üzerinde bir tünel ve aesni'nin kapatılması.
- İki sağlayıcıdan herhangi birinin verimi: ossl'nin aesni'den hızlı olup olmadığı ölçülmedi.
- tools/make-package.sh ile derlenip pkg ile eklenen paket.
- os-xgs-npu olmadan bir OPNsense'e kurulum.
- Plugins sekmesi veya self-update.py ile güncelleme: 1.0.0 ilk sürüm olduğundan henüz hiçbiri kurulu bir kopyanın önüne geçmedi.
Depo
İlk sürüm: 2026-10-25